La composante défensive de l’intelligence économique se décline en une discipline à part entière : protéger ce qui constitue la valeur réelle d’une organisation, au-delà du seul système d’information.
L’ampleur de la menace
Les chiffres publiés par cybermalveillance.gouv.fr donnent la mesure du problème : neuf entreprises sur dix subissent une attaque, dont 43 % de PME — seules 17 % d’entre elles se déclarant correctement protégées. Les rançongiciels représentent la moitié des incidents, le phishing 23 %, le piratage de comptes 16 %. Le coût moyen d’une attaque avoisine 1,3 million d’euros, avec plusieurs mois nécessaires pour revenir à une activité normale. Les conséquences en cascade — perte de clients, d’emplois, d’innovation, d’image, de données — dépassent largement le seul incident technique initial.
Les quatre dimensions de la sécurité économique
La protection du patrimoine se pense selon quatre axes complémentaires, souvent résumés par le carré humain-technique-juridique-organisationnel.
La dimension humaine couvre l’ensemble des personnes en contact avec l’organisation — salariés, intérimaires, stagiaires, dirigeants — et les comportements à risque qu’ils peuvent adopter, par négligence ou, plus rarement, par malveillance interne. La dimension technique couvre les postes de travail, serveurs, réseaux, le BYOD, le SaaS et le cloud, les sauvegardes et le chiffrement. La dimension juridique s’appuie sur les contrats, les clauses de confidentialité, le RGPD, la loi Sapin II, la LPM et les questions d’extraterritorialité. La dimension organisationnelle, enfin, structure les procédures, la gouvernance, la cartographie des informations, la politique de sécurité et les plans de continuité et de reprise d’activité.
Les menaces typiques
Plusieurs scénarios reviennent avec une régularité qui mérite d’être connue par le détail, tant leur mécanique est transférable d’un contexte à l’autre.
Le rançongiciel chiffre le système d’information et exige une rançon pour son déchiffrement. La seule parade réellement fiable reste la sauvegarde — répétée trois fois dans les intitulés de cours pour insister sur son caractère non négociable — complétée par des logiciels à jour et une sensibilisation continue des utilisateurs.
L’arnaque au président relève de l’ingénierie sociale ciblant la direction ou la trésorerie, pour obtenir un virement frauduleux sous couvert d’urgence hiérarchique. Ses impacts dépassent le seul préjudice financier : ils touchent le psychologique, la réputation, parfois jusqu’au dépôt de bilan — le cas de la PME de mobilier BRM, qui a perdu quarante et un emplois à la suite d’une telle attaque, illustre à quel point l’exploitation d’un biais humain peut avoir des conséquences disproportionnées à sa simplicité technique.
Le BYOD et le nomadisme exposent l’organisation via des équipements personnels, des connexions Wi-Fi publiques ou du Bluetooth mal maîtrisé, avec un risque de compromission tant physique que logique. Les déplacements, salons et conférences ajoutent un risque d’espionnage sur site, de vol d’équipement, ou de conversation surprise — sans oublier le Wi-Fi malveillant proposé sur place. Les médias sociaux mélangent vie privée et professionnelle jusqu’à provoquer des fuites d’information sensible ou des atteintes à l’image. L’infogérance et le cloud créent une dépendance à un tiers, avec des questions de localisation des données et de clauses contractuelles à ne pas négliger.
L’extraterritorialité du droit américain (Patriot Act, FCPA, ITAR) mérite une vigilance particulière : des données hébergées chez un acteur américain peuvent devenir accessibles à des autorités étrangères, avec une obligation de conformité ITAR renforcée dès lors qu’une technologie relève du secteur de la défense.
Protéger le patrimoine informationnel
La démarche part de l’identification des informations stratégiques — fichiers clients, grilles tarifaires, R&D, plans, secrets de fabrication, stratégie commerciale — puis les cartographie : où résident-elles réellement (système d’information, cloud, papier, prestataires, personnes clés) ?
Quatre catégories de mesures en découlent, chacune couvrant une des dimensions du carré précédent : des mesures organisationnelles (politique de sécurité, procédures de recrutement et de départ, classification de l’information) ; des mesures techniques (sauvegardes, chiffrement, gestion des accès, journalisation) ; des mesures humaines (sensibilisation, clauses de confidentialité, charte informatique) ; et des mesures juridiques (RGPD, loi Sapin II, clauses contractuelles) — développées dans la note sur le cadre juridique et normatif.